CVE-2025-34076

Microweber CMS versiyonları <= 1.2.11 içerisinde, yedekleme yönetimi API'sinin kötüye kullanımı nedeniyle kimlik doğrulaması gerektiren bir yerel dosya dahil etme (local file inclusion) zafiyeti bulunmaktadır. Kimlik doğrulamış kullanıcılar, alt dosya sistemindeki rastgele dosyaları okumak için /api/BackupV2/upload ve /api/BackupV2/download uç noktalarını kötüye kullanabilirler. Yükleme isteğinin src parametresinde mutlak bir dosya yolu belirtilerek, web hizmeti kullanıcısının yetkilerine bağlı olarak hedef dosya sunucu tarafından yeniden konumlandırılabilir veya silinebilir. Ardından ilgili indirme uç noktası, dosya içeriğini geri almak için kullanılabilir ve bu durum etkili bir şekilde yerel dosya ifşasına (local file disclosure) olanak tanır. Bu davranış, kullanıcı tarafından sağlanan yolların yetersiz doğrulanmasından ve dosya erişimi ile yedekleme mantığı üzerindeki kısıtlamaların yetersizliğinden kaynaklanmaktadır.